Symantec Endpoint Protection - Вопросы по Symantec Endpoint Protection - Форумы Anti-Malware.ru Перейти к содержанию

Recommended Posts

Pablo Z

Проблема в том, что появляется группа "My Company" вместо "Global", и что мне всем 200 с лишним клиентам менять файл Sylink.xml?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум

Pablo Z а зачем? Вы поверх ставите? Тогда все обновится автоматически, ничего вручную менять не нужно

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pablo Z

в филиале не обновилось че-то, причем файл sylink.xml остался старым (ссылки на группу global..), правда проблема может быть в другом (старые клиенты тоже не были видны в консоли), завтра посмотрю после перезагрузки клиентов

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pablo Z

У меня в филиале было так: поставил сервер, обновил пару клиентов с 10 до 11 версии, но они не появились в консоли, потом я обновил сервер на 11.0.3001, теперь пытаюсь клиента обновить, обновление вроде бы проходит успешно, то есть в журналах на клиенте ошибок, связанных с симантеком, нет, службы все стартуют, соединение на 80 порт со стороны клиента на сервер открывается, но Sylink все равно старый!!!

При попытке подмены Sylink.xml с помощью SylinkDrop.exe срабатывает Tamper Protection

Подскажите, что предпринять?

Просто я не хочу мигрировать центральный офис пока в маленьком филиале нормально не обновится

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
  Pablo Z сказал:
Подскажите, что предпринять?

А можете более подробно рассказать о этапах развертывания? Каким образом ставили клиентов поверх 10 версии? Почему файл Sylink содержит неверные данные о сервере?

  Pablo Z сказал:
При попытке подмены Sylink.xml с помощью SylinkDrop.exe срабатывает Tamper Protection

Делаете по описанию? Не должно такой проблемы возникать

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pablo Z
  Кирилл Керценбаум сказал:
А можете более подробно рассказать о этапах развертывания? Каким образом ставили клиентов поверх 10 версии? Почему файл Sylink содержит неверные данные о сервере?

Делаете по описанию? Не должно такой проблемы возникать

Вобще началось все с того, что не мог залогиниться в консоль 10го сервера.

Обновлял кэш, сбрасывал пароль, все бесполезно, решил его переустановить, во время удаления сервер повис и еле-еле удалось его реанимировать, нашлись какие-то вирусы, когда их удалили CureITом, сервер загрузился, снес кое-как 10й симантек сервер (отключил службы, удалил относящуюся информацию из реестра). Потом установил 11.0.776.942 сервер, опять не смог залогиниться, тогда я сбросил БД IIS (там еще Exchange стоит), залогинился, но не открывались страницы отчетов мониторов, это тоже поправил, поставив анонимные разрешения на симантековские папки.

Потом разлил на пару компов с помощью мастера "Find Unmanaged Computers" клиента. Клиенты в консоли не появились, обновил сервер до 11.0.3001 и обновил клиентов до новой версии - файл Sylink со ссылками на старую структуру групп Global\.. (причем во временной папке C:\Temp он новый)

Пробовал в сеансе телнета из командной строки утилиты SylinkDrop подменить файл не получилось, а в журнале событий отчет о том что сработала Tamper Protection

Event Type: Error

Event Source: Symantec AntiVirus

Event Category: None

Event ID: 45

User: NT AUTHORITY\SYSTEM

SYMANTEC TAMPER PROTECTION ALERT

Target: C:\TEMP\SylinkDrop.exe

Event Info: Terminate Process

Action Taken: Logged

Actor Process: C:\WINDOWS\system32\tlntsess.exe (PID 3544)

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pablo Z

сейчас получилось через sylinkdrop, запихнул его в батник :)

но все равно в консоли клиента нет

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум

Pablo Z Вы запускаете SylinkDrop.exe через терминальную сессию? Я не уверен что такой режим поддерживается

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pablo Z
  Кирилл Керценбаум сказал:
Pablo Z Вы запускаете SylinkDrop.exe через терминальную сессию? Я не уверен что такой режим поддерживается

С этим я справился. Проблема с тем, что клиента не видно в консоли, осталась

Какие варианты траблшутинга?

Я вот думаю, если я сначала обновлю сервер, у меня клиенты его потеряют, так как путь к группе изменится, а если я обновлю сначала клиентов они все равно его потреяют, так как новее

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pablo Z

Все обновилось нормально в центральном офисе. В филиале что-то с сервером, поставил на другой, клиенты появляются. Я с первого сервера снес его. Может решить проблему установка MR4?

Есть какаято несовместимость с exchange?

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Кирилл Керценбаум
  Pablo Z сказал:
Есть какаято несовместимость с exchange?

Они оба используют IIS и с этим могут быть проблемы, как их решить - http://service1.symantec.com/support/ent-s...e7?OpenDocument

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Pablo Z
  Кирилл Керценбаум сказал:
Они оба используют IIS и с этим могут быть проблемы, как их решить - http://service1.symantec.com/support/ent-s...e7?OpenDocument

Неактуально, я уже снес сервер, теперь опять поставил MR3, он поставился на отдельный веб-сервер

Проблема решена, клиенты появились!

Кирилл Керценбаум, Спасибо за участие!

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты

  • Сообщения

    • santy
      Вылет здесь не понятно по какой причине произошел, так как изначально был создан образ автозапуска с активным зловредом, а повторно, по словам пользователя, не получилось uVS выйти на основную позицию, когда можно было бы собрать новый образ, или выполнить скрипт очистки. В том числе и в безопасном режиме. Последствия запуска зловреда firfox.exe есть здесь, и возможно действительно входят у указанное семейство.  
    • PR55.RP55
      1. Microsoft тестирует функцию - Защита администратора. https://www.comss.ru/page.php?id=15533 ---------- 2. Вирус\ы https://forum.kasperskyclub.ru/topic/465570-trojanwin32sepeh/ Видимо это семейство: https://vms.drweb.ru/virus/?i=27109129 https://vms.drweb.ru/virus/?i=27380925 -------- https://vms.drweb.ru/virus/?i=25801988 https://vms.drweb.ru/virus/?i=25339881 https://vms.drweb-av.it/virus/?i=25698634 3. TloBeJluTeJlb.exe если в директории или имени файла "чудеса" с регистром... Предлагаю помечать файл, как Подозрительный.    
    • demkd
      Для этого есть программы и работают они медленно по очевидным причинам. uVS и так показывает внедренные потоки и DLL в любой из запущенных процессов.
    • PR55.RP55
      Demkd Я бы ещё добавил подсчёт идентичных файлов.  ( если это принципиально не скажется на производительности ) По крайней мере раньше бывало и такое, что в системе десятки идентичных  файлов - но  с разными именами. И Опционально Запуск uVS - в качестве ловушки. Например  программа стартует не как: gvprin , а как firefox.exe и отслеживает всех желающих... приобщиться.    
    • PR55.RP55
      Добавить возможность "автоматического" контроля со стороны оператора\админа за актуальностью\версией установленных программ. т.е. Оператор создаёт файл "Контроль Программ.txt" и следит за его актуальностью. И при открытии меню: Дополнительно > Установленные программы  в списке отображаться не только версия установленной программы - но и её актуальная версия из Контроль Программ.txt * * или же вместо числового значения\версии - отображается запись\уведомление заданное оператором: - например: ! Внимание найден антивирус ! ** Все записи подпавшие под... критерий - перемещаются в начало списка.  
×